إطار حوكمة تقنية المعلومات لساما — الضوابط على مستوى مجلس الإدارة للبنوك

نظرة عامة

إطار حوكمة تقنية المعلومات لساما (ITGF v1.0) يقع فوق إطار الأمن السيبراني؛ هو عن كيفية حوكمة المجلس للاستثمار في IT والإشراف عليه. يُطبَّق على نفس الجهات الخاضعة لـ CSF.

على من يطبَّق

• البنوك وشركات التمويل والتأمين ومزوّدي الدفع المرخّصين من ساما.
• أعضاء المجالس يتحمّلون مساءلة شخصية.

خطوط الدفاع الثلاثة

| الخط | المسؤول | الوظيفة | |---|---|---| | الأول | وحدات الأعمال + عمليات IT | الضوابط اليومية | | الثاني | المخاطر + الامتثال + الأمن | السياسة والإشراف | | الثالث | التدقيق الداخلي | التأكيد المستقل |

CIO و CISO شخصان مختلفان.

ضوابط المجلس البارزة

39 ضابطًا. الأبرز: استراتيجية IT لثلاث سنوات، خطة سنوية، حوكمة الاستثمار، معمارية مؤسسية، حوكمة الموردين، شهية مخاطر IT، استمرارية الأعمال، استراتيجية كفاءات.

الخطوة 1: لجان الحوكمة

المجلس
 ├── لجنة استراتيجية IT (يرأسها عضو غير تنفيذي)
 ├── لجنة التدقيق
 └── لجنة المخاطر

الخطوة 2: وثيقة الاستراتيجية

أفق 3 سنوات، مرتبط بالاستراتيجية المؤسسية، خطة السعة، رهانات تقنية مصنّفة بالمخاطرة، قائمة إيقاف الأنظمة القديمة.

الخطوة 3: مؤشرات المجلس

لوحة IT/سيبراني — الربع الأول 2026
- نسبة معالم الاستراتيجية في الموعد : 87%
- الإنفاق مقابل الميزانية : 96%
- المخاطر العالية المفتوحة : 4
- توافر الخدمات الأولية : 99.96%
- نسبة الترقيع P1 : 98.1%
- تغطية PAM للحسابات ذات الامتيازات : 100%

الخطوة 4: حوكمة الاستثمار

مراجعة محفظة كل ربع، مشاريع تتجاوز مليون ريال تُعتمد في اللجنة، مراجعة بعد التطبيق عند 6 و12 شهرًا.

الخطوة 5: تركّز الموردين

تتبّع أكبر 10 موردين بحجم الإنفاق، عدد الخدمات الحساسة المعتمدة على كل مورد، حدود التركّز.

الخطوة 6: التأكيد المستقل

خطة تدقيق 3 سنوات، تغطية 25% من الضوابط سنويًا، خط رفع مباشر للجنة التدقيق.

أخطاء شائعة

• اعتماد الاستراتيجية من CIO لا من المجلس.
• اجتماعات بلا محاضر.
• تقارير التدقيق تمر على CIO قبل اللجنة.

التحقق

• استراتيجية IT معتمدة + محاضر المراجعة.
• محاضر اللجان الربعية.
• سجل المحفظة.
• تحليل تركّز الموردين.
• 4 تقارير تدقيق سنوية على الأقل.

الخلاصة

ITGF يجعل IT انضباطًا على مستوى المجلس؛ المجلس لا يفوّض المساءلة بل التنفيذ فقط.

أدلة ذات صلة

• إطار الأمن السيبراني لساما
• إدارة استمرارية الأعمال لساما
• دليل الحوسبة السحابية من ساما